Mac kullanıcılarına yönelik yeni ClickFix saldırısı ortalıkta dolaşıyor: şantaj veri hırsızlığıyla buluşuyor

ClickFix saldırıları sosyal mühendisliğin özel bir biçimidir: kullanıcılar web'den, e-postalardan veya kısa mesajlardan komutları kopyalamaya ve daha sonra bunları bilgisayarın komut satırına yapıştırmaya ikna edilir, böylece kötü amaçlı komut dosyaları çalıştırılabilir. Yapay zeka ajanları hakkındaki abartılı reklam nedeniyle giderek daha fazla kullanıcı terminalle temasa geçtikçe, kurbanlar kendilerini bulmaya devam ediyor. Güvenlik şirketi Group-IB'nin uyardığı gibi, ClickLock Stealer adı verilen, özellikle sorunlu ve hatta şantaj unsurları içeren yeni bir saldırı şu anda ortalıkta dolaşıyor.

Etkilenenlerin yarısı Avrupa'dan geliyor

Güvenlik araştırmacılarına göre kötü amaçlı yazılım Avrupa, Kuzey Amerika ve MEA bölgesindeki kullanıcıları hedef alıyor. Yarısı Avrupa'da olmak üzere 33 ülkede en az 100 kurban tespit edildi. Saldırıların en azından Mayıs ayından bu yana devam ettiği görülüyor. ClickLock Stealer'ın amacı, kripto cüzdanlarından, tarayıcılardan (“en az sekiz farklı olan desteklenir”), şifre yöneticilerinden ve sistemin diğer hassas alanlarından (anahtarlıklar, FTP şifreleri ve blockchain adresleri gibi) veri çıkarmaktır.

ClickLock Stealer'ın dağıtım yöntemlerinden birinin sahte Cloudflare sayfaları olduğu söyleniyor. Kullanıcının insan olduğunu kanıtlaması gerekir ve bu aynı zamanda Enter tuşuna basmak da dahil olmak üzere terminale bir komut girmeyi de içerir. Kötü amaçlı yazılım hemen çalışmaya başlar ve kullanıcıyı yönetici şifresi girmeye ikna etmeye çalışır. Gaspın gerçekleştiği yer burasıdır: Kullanıcı, macOS şifre girişini taklit eden isteği iptal etmeye çalışarak reddederse, Finder, Dock, Terminal, sistem ayarları, etkinlik monitörü, konsol, Spotlight ve çalışan tarayıcılar gibi merkezi sistem işlemlerinin yanı sıra mesaj merkezi de devre dışı bırakılır ve böylece macOS uyarıları gelmez. Kullanıcı bu nedenle şifreyi girmekten başka bir şey yapamaz ve bu da verilere erişimi başlatır.

Arka kapı kaldı

Bu yapıldıktan sonra ClickLock Stealer'ın ana bileşenleri silinir, ancak saldırganların daha sonra ek bilgilere erişebilmesi veya sistemi uzaktan kontrol edebilmesi için sistemde bir arka kapı kalır. İkincisi, GSocket ağ oluşturma araç seti kullanılarak yapılır.

macOS artık Tahoe'nun mevcut sürümlerinde kullanıcıları ClickFix saldırılarından korumayı amaçlayan bir güvenlik özelliği içeriyor. Terminale komutlar girilmeden önce bir uyarı iletişim kutusu görüntülenir.

(bsc)